texto:   A-   A+
eliax

Seria vulnerabilidad afecta a Linux con Kernel 2.4 a 2.6 desde 2001
eliax id: 6949 josé elías en ago 13, 2009 a las 02:23 PM (14:23 horas)
Esta es una noticia que acaba de hacerse pública hoy y que tiene muy series repercusiones para todas las distribuciones de Linux que utilicen el Kernel 2.4 al 2.6 (en otras palabras, casi el 100% de todas las populares distribuciones desde el 2001 hasta hoy).

Para los que no son técnicos: Esto significa que hackear a Linux con esta vulnerabilidad se hace trivial. Para activar la vulnerabilidad solo hay que ejecutar un programa localmente en la PC, y no importa el nivel de seguridad del programa, que es lo que da miedo.

Para los técnicos: Esto lo que permite es ejecutar código en NULL. O en otras palabras, con simplemente inyectar el código maligno en la primera página del programa es posible obtener privilegios de Kernel, o en otras palabras, privilegios totales para hacer lo que uno quiera...

Como podemos ver, incluso Linux no se salva de vulnerabilidades de seguridad serias, aunque para darle crédito a Linux este tipo de vulnerabilidades por lo general son bastante raras en Linux en general, y por lo general son resueltas en cuestión de pocos días, a veces horas (por lo que estén atentos a actualizaciones de sus distribuciones de Linux en los próximos días debido a la seriedad del caso).

Enlace a los descubridores de esta vulnerabilidad (incluyen código)

Actualización (10 minutos después de publicar la noticia!): Linus Torvalds (el padre de Linux) ya tiene un parche!!! Ahora hay que esperar que se incluya en las distribuciones populares... Fuente (gracias al lector Nicolas Valcarcel por el enlace en los comentarios)

autor: josé elías

Comentarios

  • Linus Torvalds ya envio un parche para solucionar el problema:
    http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commit;h=e694958388c50148389b0e9b9e9e8945cf0f1b98
    Solo falta q las distrubuciones lo descarguen.

    • Como dije en el artículo, en apenas horas!!!

      Si Microsoft funcionara así Windows sería algo totalmente diferente...

      • Microsoft no funciona así porque es una empresa grande. Solucionar un problema es un proceso empresarial. Implica que se asigne un equipo a investigar la situación, después que se de la órden de trabajar en la solución, y después que un equipo diferente la pruebe.

        Solucionado el problema, falta que el código nuevo sea auditado. Se dice en fuentes relativamente confiables, que incluso los binarios que Microsoft distribuye no los compilan ellos: los envían primero a la NSA para que sean "revisados" y devuelvan los binarios.

        Pero lo más grave de todo, es que para una empresa, todo este proceso, que podría tomar varios días, significa un GASTO que no le reporta ningún beneficio extra. ¿Acaso venderían más windows si se esforzaran por solucionar los problemas? ¡No! ¡Si incluso los que usan otros sistemas operativos tienen algún windows aunque sea sobre una máquina virtual!

        No es que los de Microsoft sean "malvados". Simplemente es una empresa y tiene prioridades diferentes de las que tiene una persona que hace el trabajo como un hobby.

        • anv, eso es una excusa barata y de ser cierta entonces microsoft deveria de cojer windows como un hobby y dejar de malgastar su dinero en planeamiento y tantas mas estupideces para resolver las vulneravilidades.

          y como dices, si microsoft, tiene una mejor prioridad que hacer que sus cliente se sientan seguro y satisfecho con windows, entonces no estan bien!;)

          por cierto, porque digo que malgasta dinero planeando y "revisando" los parches???? simple..... muchas de las "acualizacions" que manda microsoft atraves de * Windwos Updates * ellos le tienen que hacer actualizaciones porque en ves de arreglar un problema lo empeoran. y creeme si "revisan" algo que despues empeora el problema y se tiene que mandar a "revisar" denuevo... que significa eso?....

          suerte! :-)

        • En realidad el mundo de la seguridad funciona diferente, y puedo dar fe de ello como ingeniero de seguridad de una empresa que se dedica al desarrollo de una conocida distribucion de Linux.

          Cuando un error como este es encontrado normalemente quienes lo encontraron avisan a las partes perjudicadas, en este caso el equipo de desarrollo de linux, lo cual suele ser mediante una lista de correo privada para "vendors" de software, a la cual solo algunos tienen acceso. Luego se pone una fecha de "release" coordinado es decir, se coordina que nadie va a soltar un update o detalles de la vulnerabilidad hasta una fecha X, lo cual permite a los equipos de desarrollo/empresas afectadas preparar un parche, probarlo y etc, y luego llegada la fecha pactada salen los detalles de la vulnerabilidad acompanhada por los parches de seguridad. Si microsoft tuviera una politica parecida a la del software libre de escuchar mejor a sus usuarios este modelo tambien les serviria a ellos.

  • Jeje buen tiempo de reaccion, y si es raro pero no hay aplicacion libre de errores :D

  • daja de copiar las noticias de slashdot; siempre veo que copias las noticias de ese site..y haces traduccion fiel al español.. por lo menos deberias poner un enlace a ese blog tan conocido en el mundo del IT.. http://slashdot.org

      • Gracias anónimo por poner al Troll en su lugar. Lo asombroso de estos tipos es que insultan y acusan, y siguen visitando... Deben ser masoquistas... :)

        Pero para contestarle en este caso en específico, el Troll parece no haberse percatado que quien copió letra por letra a la fuente que yo cito fue el mismo slashdot, copiando este párrafo en particular que es en realidad lo que resume la noticia:

        "Since it leads to the kernel executing code at NULL, the vulnerability is as trivial as it can get to exploit: an attacker can just put code in the first page that will get executed with kernel privileges."

  • oh mi dios me ha dado el susto de mi vida jeje en fin si los seres humanos no somos perfectos supongo que creación alguna producto nuestro también debía tener algún fallo, por más majestuosa que fuese como lo es una obra maestra como a mi parecer es linux me pareció excelente el tiempo de respuesta, y la gente prefiere usar windows vista? LOL

  • Un abrazo a toda la comunidad de software libre (algún día dejare completamente windows)

  • ceguera informatica, usuarios de Windows

    • Bueno, también hay que reconocerle su mérito a la empresa que logró que los usuarios se volvieran así. ;)

  • Lo que es evidente es que no hay sistema operativo seguro al 100x100, lo mismo pasa con los navegadores, aplicaciones etc..

    Todo depende de la cantidad de usuarios que utilicen uno u otro sistema operativo y las ganas que tengan de buscar vulnerabilidades teniendo los conocimientos necesarios lógicamente.

  • esta noticia le va bien a todos aquellos que andan tan flipados contra microsoft o que pierden el culo ya sea con mac o como en este cao ha sido, con linux, ya he dicho infinidad de veces que no hay sistemas operativos, y que lo unico que hace mas o menos seguro un sistema operativo es unicamente su cota de mercado. a mas mercado mas inseguro, es una ecuacion impermutable.

  • ¿Pero Linux no era ese sistema perfecto, que no tenía ninguna vulnerabilidad?

    • Quien te dijo eso amigo???

      No existe el Sistema Operativo... ni siquiera software perfecto, simplemente hay unos mejores que otros... es todo

      Saludos

    • Lee el comentario #7

  • Si, claro que han tardado poco en repararlo, cuando se han dao cuenta, unos 8 años...

    • Y que me dices de las incontables vulnerabilidades, todas criticas que tiene windows, muchas de ellas con más de 13 anios de edad, y como alguien dijo más arriba, microsoft con los parches en vez de mejorar o corregir empeora las cosas, una de las cosas que me ha molestado es que no he visto al primer blog en noticias tecnologicas que hubiese publicado los errores que MS cometió con las actualizaciones de seguridad de los meses junio y julio, en donde la gran mayoría de sistemas afectados eran windows XP, las actualizaciones dejaban como resultado un WMP inservible, todos los codecs que hacen uso intensivo de DirectShow fueron afectados con problemas múltiples, el más común desincronización de audio y video, disparos constantes del consumo de la CPU, entre otras cosas. Por ellas me vi en la necesidad de formatear mi hermoso windows XP que lo tenia corriendo como el primer día desde hace ya más de 2 anios.

  • Pues les aclaro que el fallo sólo ocurre en redes que utilizan en el obsoleto protocolo Appletalk de Apple, no en el TCP/IP que generalmente utilizamos.

    El mismo Linus dice en su commit (http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commit;h=e694958388c50148389b0e9b9e9e8945cf0f1b98)

    “Does anybody really care about sendpage on something like Appletalk? Not likely.”

    Saludos,
    adrruiz

  • GNU LInux es de código abierto por lo que cualquier persona o al menos la mayoría sabe que despedazar al sistema es tan fácil por que conocen el código fuente. tan fácil como crear una aplicación y no atacar al corazón si no a la columna del sistema para que este caiga.

    e de admitir que eso de que hayan resuelto el problema en cuestión de horas es un muy buen punto asía linux.

  • En 40 a~os de unix todavia estamos esperando el Blaster que nos destronara

  • Si linux tuviera la misma cantidad de usuarios que windows, fuera mucho peor que windows en cuanto a vulnerabilidad.

Añadir Comentario

tu nombre
tu email
(opcional)
web personal
(opcional)
en respuesta a...
comentario de caracteres máximo
5 + 4 = requerido (control anti-SPAM)
¿De qué color es el cielo?: requerido (control anti-SPAM)
 

"Postdata: Lamenté el momento que tuve que ir al baño... no se que diantres me perdi en esos 3 minutos... :P"

por "Juan Adolfo Wispe" en may 11, 2011


en camino a la singularidad...

©2005-2019 josé c. elías
todos los derechos reservados
como compartir los artículos de eliax